🇰🇷 한글 설명
Blueprint Studio 2.5.2 미만 버전에서 백엔드 API의 관리자 권한 검증 미흡으로 인해 인증된 모든 Home Assistant 사용자가 관리자 전용 기능에 접근할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 임의의 서비스를 호출하거나 설정 파일을 수정하고 파일을 업로드하는 등 시스템의 기밀성, 무결성, 가용성을 침해할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 관리자만 할 수 있는 중요한 설정 변경이나 파일 조작을 마음대로 할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 집안의 스마트 홈 시스템 설정이 바뀌거나 개인 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Blueprint Studio is a VS Code-like file editor for Home Assistant configuration files. Prior to 2.5.2, Blueprint Studio exposed administrator-intended backend API actions to any authenticated Home Assistant user because the backend did not consistently enforce the panel's admin-only authorization boundary. Affected surfaces included the backend API, upload API, stream routes, terminal WebSocket, Blueprint Studio WebSocket subscriptions, call_service, render_template, global_replace, file and stream access paths, upload handling, and terminal helpers. A non-admin user could invoke arbitrary Home Assistant services, expose Home Assistant state through templates, modify configuration files, access streamed or downloaded configuration content, upload files, or reach terminal-related helpers. These actions could compromise the confidentiality, integrity, and availability of the Home Assistant installation. This issue is fixed in version 2.5.2.
📍 영향받는 시스템
Blueprint Studio versions prior to 2.5.2
⚔️ 공격 벡터
인증된 일반 사용자가 권한 검증이 누락된 백엔드 API 및 WebSocket 엔드포인트를 호출하여 공격
🛡️ 대응 방법
Blueprint Studio를 최신 버전인 2.5.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version이 2.5.2 미만이면 취약한 상태이며, 2.5.2 이상이면 안전합니다.
pip show blueprint-studio 2>/dev/null | grep -E 'Version'